摘要：结合一套专门为企业制作的远程数字监控系统开发过程，从系统的网络设计需求开始，逐步阐述了一种实用的基于ＶＰＮ的远程数字视频监控系统的架构。

DVR 网络视频传输

近年来，数字视频监控系统以其控制灵活、信息容量大、存储和检索便利等优点逐步取代了传统的模拟视频监控系统，被广泛应用于安防、监控、质检等方面。随着计算机及网络技术的发展、普及和网络带宽的迅速扩大，视频监控又逐渐产生了新的需求，即将数字视频监控技术与网络技术相结合，在现场监控主机无人职守情况下，实现局域网或Ｉｎｔｅｒｎｅｔ远程监控的功能。这样，将监控信息从监控中心释放出来提高了管理水平和效率。但在通过Ｉｎｔｅｒｎｅｔ远程访问视频监控服务传统的远程访问技术体现功能不足，无法保证监控所需的保密性和速度性的要求。ＶＰＮＶｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋｉｎｇ）技术的出现，改变了这一局面。通过使用ＶＰＮ的隧道和加密技术，实现了视频数据经过Ｉｎｔｅｒｎｅｔ在虚拟企业网络中安全和便利的传播。本文将结合一套为企业制作的远程数字视频监控系统，介绍一种实用的基于ＶＰＮ的远程视频监控系统架构。该系统已成功应用于多个部门，对视频监控、网络视频传输开发有很高的参考价值。图1 用于VPN的IP-in-IP土封装传输原理１ 远程数字视频监控系统的网络设计要求

本系统是一套专门为企业制作的数字视频监控系统，在工程实施过程中，需要提供远程监控（实时图像传输和远程操作）功能。具体地讲，就是利用不同的方式（如拔号上网、局域网等方式）进行单路及多路远程监控，用户在远程的监控中心可以很方便地通过网络了解各网点的基本情况、各路状态控制、云台控制、传输文件、远程解密。工程中将要完成对４００余路视频的处理，整个工程将配置２０～３０台数字硬盘录像机。具体要求：（１）本地主机通过局域网访问本地的任意一台视频服务器；（２）远程传输必须实时、可靠，必须保证视频数据的高速和可靠传输。根据实际需要可以申请ＤＤＮ，并在价格合适的条件下同时兼顾ＡＤＳＬ、ＰＳＴＮ和 ＤＤＮ等三种连接方式；（３）远程接入终端通过远程拨号Ｒｅｍｏｔｅ Ｄｉａｌ方式透过Ｉｎｔｅｒｎｅｔ访问本地局域网的任意一台视频服务器 最多可同时连接１６台本地视频服务器；（４）在工程中传输的视频数据可以定性为非高保密数据，在上层的系统软件中完成加密和必要的合法验证，在网络设计中可以不特意选择高性能的防火墙；（５）远程接入终端透过Ｉｎｔｅｒｎｅｔ 对本地局域网的访问对上层系统是绝对透明的，从某种意义来说，上层系统可以根据指定的局域网ＩＰ 地址来访问任何一台本地视频服务器。

采用方案分析：(１)对于速度要求，可以采用ＤＤＮ专线、ＡＤＳＬ或将来的宽带传输技术；(２)价格要求，最廉价的方式是使用Ｉｎｔｅｒｎｅｔ进行数据传输但这必然涉及到数据保密性的要求；（３）网络安全性问题，远程主机的接入身份验证和验证身份的数据必须加密，视频数据可以根据需求加密；（４）远程访问，需要视频服务器提供允许远程接入的能力, 需要进行ＲＡＳ配置；（５）访问透明性要求，上层系统只需要设计成简单的两步架构，用户指定视频服务器ＩＰ－－－－＞监控指定ＩＰ的视频，无需涉及网络连接的具体实现过程,无需用代码实现远程连接的过程。

鉴于以上需求，可以采用ＶＰＮ＋ＡＤＳＬ方案，这是一个切实可行且成本低廉的方案。能够提供速度及企业移动用户（ｍｏｂｉｌｅ ｕｓｅｒ）的安全便利接入、数据保密性、客户远程访问透明性的需求.以下将介绍构架ＶＰＮ的基本原理, 以及本系统的具体实现构架。图2 Internet网上VPN应用与局域网内部VPN应用２ ＶＰＮ介绍

２．１ ＶＰＮ的概念

随着Ｉｎｔｅｒｎｅｔ网络规模与使用的扩大和广泛化，通过Ｉｎｔｅｒｎｅｔ传输保密数据的安全性需求日益提上议程。分布式企业想在处于不同地域的部门之间安全传递数据，传统的方法是使用租用线路将各部门的私有网络相连，并使用租用线路进行内部通讯。该方案的主要缺点在于租用线路价格昂贵。一种新的降低成本的途径是允许单位配置ＶＰＮ技术，不用任何租用线路 通过Ｉｎｔｅｒｎｅｔ传输加密数据，这样可以把线路费用降到最低。该技术通过隧道和加密技术达到类似私有网络的安全数据传输功能有着非常广阔的应用前景。它具有以下优点：

(１)费用低--ＶＰＮ使用Ｉｎｔｅｒｎｅｔ进行数据传输免去了昂贵的专线费用 只须添加支持ＶＰＮ的上网设备。

（２)保密性--ＶＰＮ使用了加密技术 保证了通过Ｉｎｔｅｒｎｅｔ进行数据传输的安全性。

(３)私有性--连接上ＶＰＮ服务器的客户就像在使用局域网一样。使用局域网内部ＩＰ地址就可以访问整个ＶＰＮ中的所有主机。

２．２ ＶＰＮ的基本工作原理

针对ＶＰＮ实现的几个优点，ＶＰＮ主要使用了隧道传输,ｔｕｎｎｅｌｉｎｇ,技术和加密,ｅｎｃｒｙｐｔｉｎｇ,技术。为了实现保密性, ＶＰＮ把外发的数据报加密传输。对于私有性，ＶＰＮ使用隧道技术, 定义了两个网点的路由器之间通过Ｉｎｔｅｒｎｅｔ的一个隧道, 并使用ＩＰ－ｉｎ－ＩＰ封装通过隧道转发数据报。其基本原理如图１所示，为了确保保密性内层数据经过加密。

图１中，ＶＰＮ授权主机Ａ发给主机Ｂ的整个内层数据报,包括首部,在被封装前进行了加密。当数据报通过隧道到达ＶＰＮ服务器时, ＶＰＮ服务器将数据区解密, 还原出内层数据报, 然后转发该数据报给主机Ｂ。对Ａ和Ｂ而言, 它们之间的数据传输过程是透明的。Ａ要发送的原始信息包的目的地址就是Ｂ, 用户并无觉察数据经过打包交由ＶＰＮ服务器转发给Ｂ, 反之亦然。感觉上Ａ和Ｂ之间存在一条虚拟的加密直达链路。总之,ＶＰＮ通过Ｉｎｔｅｒｎｅｔ传输数据, 但对网点间传输进行加密,以保证保密性。

市面上的ＶＰＮ方案繁多但都包含了三个基本元素：（１）授权：ＶＰＮ服务器对远程接入终端进行授权接入ＶＰＮ,（２）加密：远程接入终端发送的数据加密后才通过非私有网传输；（３）隧道：远程接入终端发送的数据经过封装由ＶＰＮ服务器转发。

２．３ ＶＰＮ的主要应用

设计ＶＰＮ的初衷在于使用Ｉｎｔｅｒｎｅｔ安全传递数据 此外ＶＰＮ也提供了对移动用户和漫游用户的支持这是ＶＰＮ能迅速推广和被运用的主要原因。在Ｉｎｔｅｒｎｅｔ网上的ＶＰＮ应用及使用步骤，如图２上部所示图中的ＰＰＴＰ是ＶＰＮ的一种实现方案。远程主机可以有三种方法通过Ｉｎｔｅｒｎｅｔ向ＶＰＮ服务器请求ＶＰＮ服务。同理，如图２下部，在局域网内部，主机Ａ的加密数据报也可以由ＶＰＮ服务器转发给主机Ｂ，实现Ａ到Ｂ的保密传输。图3 视频监控系统网络架构３ 远程数字视频监控系统架构

３．１网络架构方案

出于系统的设计要求和ＶＰＮ的优点，本系统采用ＶＰＮ方案来构架远程数字视频监控系统。在工程设施中，采用预装了ＶＰＮ协议组的路由器作为ＶＰＮ服务器。系统网络构架如图３所示。

若不采用传统的远程访问方案，要使远程用户访问视频服务器必须给每台视频服务器配置ＲＡＳ协议接受传入的访问 并在远程访问终端上添加所有要访问的视频服务器的拨号连接 每访问一台视频服务器都须拨号一次 非常麻烦；但采用了ＶＰＮ方案 远程用户只需拨号访问ＶＰＮ服务器一次就与本地所有的视频服务器构成一个虚拟的局域网可以使用局域网ＩＰ地址直接访问任意的视频服务器大大减小了远程访问连接的开销 方便了用户和上层软件系统的设计只需要设计成局域网访问方案就可以了，并做到安全通讯。

３．１．１ ＶＰＮ路由器／局域网内部主机／远程访问主机的配置

当前ＶＰＮ行业使用四个标准：点到点隧道协议ＰＰＴＰＰｏｉｎｔ－ｔｏ－Ｐｏｉｎｔ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ，第２层发送协议Ｌ２Ｆ，第２层隧道协议Ｌ２ＴＰ，ＩＰ安全性ＩＰｓｅｃ。由于本系统中使用的所有主机都是基于ＷｉｎｄｏｗＮＴ系统 出于协议兼容性考虑本系统ＶＰＮ方案主体采用微软的ＰＰＴＰ协议构架。

（１）本系统采用ＶＰＮ路由器，它内置了Ｗｅｂ服务器 用户可以直接访问其Ｗｅｂ服务器进行路由器配置。例如预先向ＩＳＰ申请了静态的ＩＰ地址２０２．１６８．２５．１ 可以直接在浏览器地址栏中输入ｈｔｔｐ／／２０２．１６８．２５．１８０访问网页，输入用户帐户和密码后进入设置界面，对路由器进行如下配置：在ＶＰＮ协议配置页面中选择“自动选用ＶＰＮ协议”，并采用加密传输选项；在访问页面 设置加入ＶＰＮ的用户名和密码 用于为远程客户授权加入ＶＰＮ；过滤数据包令ＶＰＮ路由器只处理ＶＰＮ数据包，其他数据包丢弃，以减少网络流量。

（２）本地访问主机Ｂ和视频服务器处于同一局域网内部 无需其他附加的协议。

（３）远程访问主机Ａ想通过ＶＰＮ方案访问局域网内的所有视频服务器。需要有连接上Ｉｎｔｅｒｎｅｔ的设备如ＡＤＳＬ、ＩＳＤＮ、ＰＳＴＮ；需要安装ＲＡＳ协议以连接上ＶＰＮ服务器；需要安装ＰＰＴＰ协议以与ＶＰＮ服务器通讯并构架ＶＰＮ。

３．１．２ 系统工作流程

（１）２５台视频服务器通过１００Ｍｂｐｓ以太网交换机连接组成局域网 每部监控视频服务器数字硬盘录像机通过４张ＰＣＩ 板卡可以直接连接１６个摄像机并完成视频的实时采集、压缩和写盘工作。系统中共有２５×１６＝４００路实时视频信号资源。

（２）在特定时段内（可在系统中由用户设置，可以设置为非监控时段），监控服务器将记录在本机的视频数据资料发送给回放视频服务器存档，供日后检索使用。授权用户可以访问监控视频服务器获取实时监控视频，也可以访问回放视频服务器获取回放视频资料。

（３）在局域网内部例如主机Ｂ可以直接访问局域网内部的任何一台视频服务器。

（４）局域网通过ＶＰＮ路由器与Ｉｎｔｅｒｎｅｔ相连为授权移动用户ｍｏｂｉｌ ｕｓｅｒ提供远程访问的能力。远程移动用户Ａ可以在任何地方先使用ＡＤＳＬ、ＩＳＤＮ或ＰＳＴＮ向ＩＳＰ请求连接上Ｉｎｔｅｒｎｅｔ再使用ＰＰＴＰ协议请求连接上私有局域网的ＶＰＮ路由器预装了ＶＰＮ相关协议；ＶＰＮ路由器根据预先设置的授权名单 校验授权用户，若校验通过 则与远程主机Ａ建立一条ＶＰＮ隧道供传输数据 并将主机加入到虚拟专用网ＶＰＮ中；此后主机Ａ可以使用私有局域网内部的ＩＰ地址访问私有局域网中的任意一台监控或回放视频服务器。

３．２ 软件架构方案

Ｉｎｔｅｒｎｅｔ应用层软件开发主要使用两种方案进行数据传输：传输控制协议ＴＣＰ（Ｔｒａｎｓｌａｔｅ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）和用户数据报协议ＵＤＰＵｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ。ＴＣＰ采用丢帧重发的方法来提供有可靠保障的数据流服务，ＵＤＰ提供“尽最大可能地交付”高效小时延但不可靠的数据报传输服务。根据它们各自的特点，可以使用ＴＣＰ传输有质量要求的控制命令，且用ＵＤＰ迅速传输大量的音视频数据。

本系统作如下设计：在可靠性要求比较严格的地方使用ＴＣＰ传输数据，包括服务器信息收集、各路状态控制、云台控制、传输文件、远程解密等；同时在速度要求比较严格的地方--实时视频传输中使用ＵＤＰ。远程监控最大的一个问题是实时性，而实时性最大的障碍就是网络传输时延问题。在这种情况下应该选用ＵＤＰ传输视频图像，对用户来说，一定程度的数据丢失和次序错误并不是大问题，上一帧的丢失不会影响到下一帧。用户宁愿接受有一定丢帧的实时视频图像，也不愿意接受没有丢帧的具有累加时延的滞后视频图像。若采用ＴＣＰ，ＴＣＰ固有的传错传丢重发机制本身就加重了视频传输的时延。在具体编程中可以通过ＷｉｎＳｏｃｋ来使用ＴＣＰ和ＵＤＰ协议提供的功能。

整个视频监控系统各部分功能及数据流向如图４所示。图4 系统总体功能模型 ３．３ 系统评价及应用前景

作者使用Ｖｉｓｕａｌ Ｃ＋＋６实现数字视频监控系统，该系统经过测试能实际达到的效果：

（１）速度：局域网（１００Ｍｂｐｓ以太网）内部可以达到实时传输１６路×２３帧／每秒ＣＩＦ图像的要求。广域网实用ＡＤＳＬ可以达到２路×２３帧／每秒ＣＩＦ图像的要求，并可以使用通道轮转技术实时监控１６路视频的能力。

（２）远程访问的安全性：由于在ＶＰＮ服务器上设置了远程访问企业内部网的用户权限，并使用ＶＰＮ的安全用户访问方式（如RADIUS远程验证拨号用户服务），保证了用户保密资料的传输。

（3）访问方便：远程连接时，在连接上企业的VPN服务器后，用户感觉上就处于一个虚拟的企业内部局域网中，其后操作都与局域网操作致。用户可任意访问任意台视频服务器的任意个视频通道。

该系统架构已经在多个银行和企业部门中使用，其实用性和易操作性受到客户的好评。该系统对于视频监控、网络视频传输开发有很高的参考价值。